关于CTPAT你需要知道的，11 月 5 日之后的硬门槛
782026 年 11 月 5 日，美国海关与边境保护局（U.S. Customs and Border Protection，CBP）发布临时最终规则（Interim Final Rule），把 6 月 3 日第 14411 号行政令里关于外国登记进口商的一条要求，落成了可执行的条文。
这条要求是，未通过 CTPAT 验证的外国 IOR，不得办理正式报关，除非依托一家通过 CTPAT 验证的持照报关行申报。规则编号 USCBP-2026-1387，2027 年 1 月 5 日生效。对一个存在了二十五年的自愿项目而言，这是性质上的改变。
图源：《联邦公报》
2001 年 9 月 11 日之后六周，美国海关启动 CTPAT，全称 Customs-Trade Partnership Against Terrorism，中文译为海关与商界反恐伙伴计划。2002 年 4 月正式运行，首批成员 7 家。
二十五年后，这个项目名下有 11,400 多家认证伙伴，覆盖美国进口货值 52% 以上，成员包括进口商、出口商、承运人、报关行、货运代理、码头运营商和部分外国制造商。
它的设计逻辑是交换。企业按 CBP 的最低安全标准（Minimum Security Criteria，MSC）加固供应链，CBP 回以通关便利，包括更低的查验率、优先处理和专属供应链安全专员。
对参与企业而言，这是一笔需要核算的投入产出关系。
按 CBP 的流程，企业要先提交申请、签署安全协议、完成供应链安全档案，通过审核拿到 Certified 状态，再接受 CBP 的现场验证访问（Validation Visit），确认制度在实际运行，才能进入 Validated 状态。整个过程通常需要 12 到 18 个月，此后每四年复核一次。
投入侧包括门禁系统、周界防护、监控、封条管理、人员背景审查、供应商审核和信息安全建设。收益侧是查验率下降带来的滞箱、仓储与断货成本节约。
货量大的进口商可以摊薄这部分固定投入，中小进口商往往难以覆盖。
另有一层限制在资格上。按 CBP 的规定，进口商这一类目只接受美国登记进口商和加拿大非居民进口商。外国主体要申请，前提是先在美国设立实际运营的办公场所、取得美国 IOR 编号、维持有效的连续进口保函。
在 2027 年之前，不参与 CTPAT 并不影响进口资格。只要单证合规、税费结清，货物照常通关。IOR 资格一旦取得，除执照被吊销外长期有效，违规处理以罚款、扣货为主，极少直接剥夺进口资格。涉及违禁品的案件由刑事司法系统处理，海关层面不存在一票否决的机制。
这是过去二十五年的基本格局。
2026 年 6 月 3 日，白宫签署第 14411 号行政令《加强海关执法》（Strengthening Customs Enforcement），6 月 10 日刊登于《联邦公报》，91 FR 35125。
行政令第 2 节 (c) 项明确，外国 IOR 办理正式报关（formal entry），必须自身通过 CTPAT 验证，或者使用一家通过 CTPAT 验证的持照报关行。
11 月 5 日发布的临时最终规则把这句话展开成了完整条款，口径比行政令更严。
图源：《联邦公报》
条文要求，外国 IOR 只能以自己的名义担任 IOR，并且必须通过 CTPAT 验证。未通过验证的，唯一合规路径是委托一家通过验证、并持有《美国法典》第 19 编第 1641 条（19 U.S.C. § 1641）项下执照的报关行，代其申报，或者代其担任 IOR。
规则的适用范围还覆盖了一种常见安排。报关行依据授权委托书（power of attorney，19 CFR 141.46）代非 IOR 委托人担任 IOR 的，如果该委托人符合外国 IOR 的定义，同样适用上述要求。
时间表上，规则 2027 年 1 月 5 日生效，报关行一侧的全面合规不迟于 2027 年 5 月 6 日，可以申请延期。
需要说明一点。条文要求的资质是 validated，对应三层结构里的第二层，不是提交申请就能取得的第一层。市场上对这一点的理解存在偏差。
CTPAT 的资质分三级。
第一级 Certified，企业提交申请、签署协议，CBP 审核材料后授予，可获得门户账号和对接专员，查验率略低于非成员，降幅有限。
第二级 Validated，CBP 派员到企业现场，核查文件、设施和操作记录，确认最低安全标准在实际运行。查验率下降、优先处理、境外互认等实质权益，从这一级开始兑现。
第三级 Exceeding，在最低标准之上有额外投入，由 CBP 推荐并审核后授予，成员占比很低。
八项标准包括人员安全、门禁控制、实体安全、货柜安全、程序安全、商业合作安全、信息安全、安全培训与警觉意识，落到执行层面是十二项具体条目。其中三项在实际审核中最容易被低估。
业务伙伴审核要求企业对其承运人、供应商执行安全评估并留存记录，供应链越长，工作量越大。
网络安全要求具备 IT 安全政策、访问控制、事件响应机制和测试记录。
强迫劳动合规要求企业建立反强迫劳动政策，完成供应链风险映射和整改程序。
申请资格方面，规则第 10 页脚注 9 列出了可以申请 CTPAT 伙伴资格的主体范围。进口商这一类，只有美国登记进口商和加拿大非居民进口商。
同一份规则也提高了美国 IOR 的认定门槛。个人要成为美国 IOR，须为美国公民或持绿卡。公司要符合条件，须满足两条之一，51% 受益所有人为美国公民或绿卡持有人并掌握实际控制权，或者在美国直接持有足额、无抵押的不动产。
由中国主体全资或控股注册的美国 LLC、INC，仍被归入外国 IOR。
规则对壳公司的定性也值得注意。在 ACE 系统中显示美国地址、实际只有邮箱、没有实体经营场所和资产的主体，被明确认定为壳公司。这类主体在申报数据上的缺口同样明显。2021 年 7 月至 2026 年 6 月，登记为外国的 IOR 中，提供公司高管职务的占 2.88%，提供受益所有人或高管姓名的占 3.17%，提供邮箱与电话的占 1.52%，提供护照信息的占 0.38%。
规则给外国 IOR 留了两条路径，对中国主体实际只剩一条，委托一家通过 CTPAT 验证的持照报关行。这条要求把合规责任压到了报关行一侧。
报关行在接单前，须核验客户的 IOR 资质，留存相关材料，并在申报中作出标明。罚则的适用也发生了变化，从 19 U.S.C. § 1641 规定的三万美元上限，改为适用 19 U.S.C. § 1592，罚金上限等同涉案货物在美国的国内价值。
这意味着单票货物的申报风险与货值直接挂钩。未通过 CTPAT 验证的报关行，不具备承接此类业务的资格。
供给侧的约束同样明显。业内粗略估算，全美报关行约三千家，其中只有五分之一左右持有 CTPAT 验证资质。具备资格的报关行在客户选择上获得了主动权，服务价格和合作条件随之调整。对货主而言，直接的变化是清关通道收窄、合规成本上升。
把行政令和细则放在一起看，政策方向是清楚的。外国主体要在美国市场继续经营，一是在美国建立符合认定标准的实体和资产，二是把报关环节交给符合资质的本地代理。
6 月 3 日签署的第 14411 号行政令《加强海关执法》，名称中没有涉及投资，条款指向明确。
本次发布的规则只是第一步。行政令要求在 2026 年 11 月 30 日之前落地的几项措施，包括最低美国资产或保证金要求、连续保函管控细则、IOR 良好合规状态管理、IOR 注册分级以及定期复审机制，本次文件中均未涉及，后续还会有配套规则陆续发布。
对以美国为主要市场的出口企业和跨境卖家而言，CTPAT 的性质已经改变。过去它是一个可选的加分项，2027 年 1 月 5 日之后，它是外国 IOR 办理正式报关的准入条件。
需要提醒的是，资质取得需要时间。从提交申请到进入 Validated 状态通常需要 12 到 18 个月，而报关行一侧的合规期限在 2027 年 5 月 6 日。现有清关安排在明年的可用性，值得提前评估。
